关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
--------------------------------------------------------------------------------
1 u9 h0 A5 Q/ F# ]$ _# y作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10
* t/ [& N1 w' l
<<接上期>>
! y  ?6 K$ H1 m
' M, |; Y: N- h, w& t' x; aIDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
) _6 N& ]" K* a3 l$ n2 `呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
! R" j- \, B) r! N& n通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。

4 D+ H8 v7 ]! h: ?7 B: r: f/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
4 q) k: u1 _3 C- z) H#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
6 `+ h( k6 {; B8 W0 O% g1 G: U0 N{
: C  W$ {7 C' Q& N% W# @+ ?! |PIdtEntry_t IdtEntry;
extern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;

. ]% l* ]; w6 H8 [$ \NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
$ S, U: K2 N, x3 C) T& dServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
  W: ~& e  f$ v: B, [4 @
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
( g2 ]# y% d0 q7 g+ q: U8 g9 V. Uif (!ServiceCounterTable)
, @9 w1 k, }* Q- M! S0 O5 T5 rreturn STATUS_INSUFFICIENT_RESOURCES;
- b, `5 ~$ e# }2 B
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;

9 f1 F) F$ o( B) \- r/* 获得IDTR Register 的Base Address和Limit*/
7 l" Y( s0 e9 O6 B; Q1 O_asm sidt buffer
6 D% q. R3 g8 j; c  L& UIdtEntry=(PIdtEntry_t)Idtr->Base;
) R, _3 G) y% v( I9 E: R. R
/* HOOKINT就是我们想要hook的中断号
$ A4 k$ ^, r( y5 Q这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);

/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
) G# q  D1 O$ R, [' C: u% \) N. WIdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
6 ?3 M5 {; L2 N9 z  r5 G_asm sti /* Enable中断请求 */
/ K6 V, Z$ l; s" o: R5 }  M% ^4 r
% a# M9 {, z$ p2 V  E: Preturn STATUS_SUCCESS;
$ Q, q) _6 `# j- s! V}

上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
typedef struct InterruptGate
0 F, p/ L1 e' N: V9 j* L{
( H- l( s0 ^6 Q, m* ]6 q2 Ounsigned short OffsetLow;
unsigned short Selector;
unsigned char Reserved;
unsigned char SegmentType;
  S% P. L+ i# S0 t' I" Bunsigned char SystemSegmentFlag;
# ^+ A# o' z- C: }5 w" Qunsigned char Dpl;
4 N& C& B1 Q+ o% ]unsigned char Present;
unsigned short OffsetHigh;
} InterruptGate_t;

在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？

[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
# G) [3 O, ^1 x7 Y' FNTSTATUS AddInterrupt()
{
PIdtEntry_t IdtEntry;

/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
8 f  Y; C& a7 T0 R% TIdtEntry=(PIdtEntry_t)Idtr->Base;
if((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
- ]' d4 C% L$ Z! v" mreturn STATUS_UNSUCCESSFUL;

7 G; s* h- }1 ~2 P_asm cli
9 ]( {3 p, W$ B2 `* Z
/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
6 D+ e% [# M: i3 jIdtEntry[ADDINT].Selector=8;
+ h/ a# o0 i! eIdtEntry[ADDINT].Reserved=0;
$ J+ E/ V% A% [( l7 q- _4 X$ AIdtEntry[ADDINT].Type=0xE;
IdtEntry[ADDINT].Always0=0;
/ M3 e' D0 D& m9 d2 o$ c' L! _IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
" Z+ \, i8 n0 h4 L' y9 b" QIdtEntry[ADDINT].OffsetHigh=
' W$ T% Z% p& j7 v4 U' A5 F(unsigned short)((unsigned int) InterruptHandler>16);
_asm sti
9 H% F3 P9 a  @
5 o3 x) U* z( j3 O$ }7 rreturn STATUS_SUCCESS;
}

让我们就上面的代码提一些问题。
Q: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
8 Q6 V% T2 |# \' J个段的名称就是8（CS=8）。
- u, J  @  E8 n8 M, u) C
Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
  R9 y, r! n! b3 V1 V9 m: ?$ l( AA：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
* ~8 J7 @( p8 m应用程序的DPL=3，所以，可以直接触发这个中断。
& f4 P# O# J5 |6 X* a7 T8 \" G
" Q/ n1 q2 u% `! R: p/ j5 KQ: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
$ `' {, F; N" ^* I1 h: lA：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
:idt
5 ~0 {' b9 x6 ]6 N2 X/ f1 DInt Type Sel:Offset Attributes Symbol/Owner
: s' J1 y. E. y( }; m! x& cIDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
) ^' K9 P( M$ p/ w……
可见，0xE表示IntG32。
3 ]& _' E5 [' Y( |
终于快到下课的时间了，让我再多说几句好吗？
通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。